Analysis
-
max time kernel
150s -
max time network
147s -
platform
windows10_x64 -
resource
win10-en-20211208 -
submitted
31-01-2022 09:47
Static task
static1
Behavioral task
behavioral1
Sample
nueva lista de pedidos n.º 002622.exe
Resource
win7-en-20211208
General
-
Target
nueva lista de pedidos n.º 002622.exe
-
Size
134KB
-
MD5
9de0585b387bb800a3c7758a07d0b713
-
SHA1
8f21c5cd550d80490963519a5021a57ad811c26e
-
SHA256
e20b3c660b0883091a7f144bcd97e45d74ba36a52d316d5be36b6d9c390dc490
-
SHA512
04702df8c0af6389ac2974fc2959ff6681de04dfb5eb7d8e24e965ab0a057218b73b18c382235f0b66338ef21daeccf5586d4f724d14681258300c1cb1aec94f
Malware Config
Extracted
xloader
2.5
iepw
isabellechiritoiabogada.com
singaporeimpact.com
mdcxdgkr.com
fivestasrelectriccorp.com
apaspaa.com
datashen.com
yh2.space
remediationnews.com
randlesrice.com
mailclic.digital
n83a.com
wmeacc.com
cahuvoa.xyz
h0t-now.com
admtrans.com
yghdlhax.xyz
bakshipping.com
ambermariemusic.com
mandelbot.tech
cryptoassetmanager.xyz
navientrefinancing.com
xn--12c1cybcl4e.com
keysthatrock.com
shristiprintingplaces.com
bootychaserlinkedbingo.com
shebreaks.vegas
theadvocatingalmostattorney.com
mingyuan.men
bossila.store
mirceacuza.com
vcfnc.com
gamefi-giveaway.com
loveseaton.com
zcaerialdronecoverage.com
side-clicks.com
tavaresmelodia.com
edc10.com
moonfoxflow.club
sattaking-gaziabad.xyz
bharathjbaiju.com
drawapp.net
034655858.com
windrowysxqtn.xyz
upposeidonmax.net
phoebenfinn.com
getmusicheard.com
skyzed.com
worldcoachesnetwork.com
industrialrocketlamp.com
pontrenmutu.com
classiclord.com
cronamovement.com
carforsells.com
batuhanasut.com
obujieitel.quest
quimicosypapelesdelnte.com
szb6.com
handwerks-service.com
englishster.com
duncharis.com
dealsforsuvsil.com
heicensus.xyz
excellglobus.com
halkn.xyz
blue-chipwordtoscan-today.info
Signatures
-
Xloader Payload 3 IoCs
Processes:
resource yara_rule behavioral2/memory/1284-120-0x0000000000400000-0x0000000000429000-memory.dmp xloader behavioral2/memory/1284-122-0x00000000012F0000-0x00000000018A0000-memory.dmp xloader behavioral2/memory/1272-126-0x0000000000560000-0x0000000000589000-memory.dmp xloader -
Suspicious use of SetThreadContext 3 IoCs
Processes:
nueva lista de pedidos n.º 002622.exenueva lista de pedidos n.º 002622.exewlanext.exedescription pid process target process PID 2568 set thread context of 1284 2568 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 1284 set thread context of 2892 1284 nueva lista de pedidos n.º 002622.exe Explorer.EXE PID 1272 set thread context of 2892 1272 wlanext.exe Explorer.EXE -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Delays execution with timeout.exe 1 IoCs
Processes:
timeout.exepid process 2240 timeout.exe -
Suspicious behavior: EnumeratesProcesses 40 IoCs
Processes:
nueva lista de pedidos n.º 002622.exenueva lista de pedidos n.º 002622.exewlanext.exepid process 2568 nueva lista de pedidos n.º 002622.exe 2568 nueva lista de pedidos n.º 002622.exe 1284 nueva lista de pedidos n.º 002622.exe 1284 nueva lista de pedidos n.º 002622.exe 1284 nueva lista de pedidos n.º 002622.exe 1284 nueva lista de pedidos n.º 002622.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe 1272 wlanext.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
Processes:
Explorer.EXEpid process 2892 Explorer.EXE -
Suspicious behavior: MapViewOfSection 5 IoCs
Processes:
nueva lista de pedidos n.º 002622.exewlanext.exepid process 1284 nueva lista de pedidos n.º 002622.exe 1284 nueva lista de pedidos n.º 002622.exe 1284 nueva lista de pedidos n.º 002622.exe 1272 wlanext.exe 1272 wlanext.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
Processes:
nueva lista de pedidos n.º 002622.exenueva lista de pedidos n.º 002622.exewlanext.exedescription pid process Token: SeDebugPrivilege 2568 nueva lista de pedidos n.º 002622.exe Token: SeDebugPrivilege 1284 nueva lista de pedidos n.º 002622.exe Token: SeDebugPrivilege 1272 wlanext.exe -
Suspicious use of WriteProcessMemory 18 IoCs
Processes:
nueva lista de pedidos n.º 002622.execmd.exeExplorer.EXEwlanext.exedescription pid process target process PID 2568 wrote to memory of 3920 2568 nueva lista de pedidos n.º 002622.exe cmd.exe PID 2568 wrote to memory of 3920 2568 nueva lista de pedidos n.º 002622.exe cmd.exe PID 2568 wrote to memory of 3920 2568 nueva lista de pedidos n.º 002622.exe cmd.exe PID 3920 wrote to memory of 2240 3920 cmd.exe timeout.exe PID 3920 wrote to memory of 2240 3920 cmd.exe timeout.exe PID 3920 wrote to memory of 2240 3920 cmd.exe timeout.exe PID 2568 wrote to memory of 1284 2568 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 2568 wrote to memory of 1284 2568 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 2568 wrote to memory of 1284 2568 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 2568 wrote to memory of 1284 2568 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 2568 wrote to memory of 1284 2568 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 2568 wrote to memory of 1284 2568 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 2892 wrote to memory of 1272 2892 Explorer.EXE wlanext.exe PID 2892 wrote to memory of 1272 2892 Explorer.EXE wlanext.exe PID 2892 wrote to memory of 1272 2892 Explorer.EXE wlanext.exe PID 1272 wrote to memory of 3012 1272 wlanext.exe cmd.exe PID 1272 wrote to memory of 3012 1272 wlanext.exe cmd.exe PID 1272 wrote to memory of 3012 1272 wlanext.exe cmd.exe
Processes
-
C:\Windows\Explorer.EXEC:\Windows\Explorer.EXE1⤵
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of WriteProcessMemory
-
C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"2⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C timeout 193⤵
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\timeout.exetimeout 194⤵
- Delays execution with timeout.exe
-
C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"3⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
-
C:\Windows\SysWOW64\wlanext.exe"C:\Windows\SysWOW64\wlanext.exe"2⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\cmd.exe/c del "C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"3⤵
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
memory/1272-125-0x0000000000D10000-0x0000000000D27000-memory.dmpFilesize
92KB
-
memory/1272-128-0x0000000002D30000-0x0000000002EC0000-memory.dmpFilesize
1.6MB
-
memory/1272-127-0x0000000002EC0000-0x00000000031E0000-memory.dmpFilesize
3.1MB
-
memory/1272-126-0x0000000000560000-0x0000000000589000-memory.dmpFilesize
164KB
-
memory/1284-122-0x00000000012F0000-0x00000000018A0000-memory.dmpFilesize
5.7MB
-
memory/1284-120-0x0000000000400000-0x0000000000429000-memory.dmpFilesize
164KB
-
memory/1284-123-0x0000000001290000-0x00000000012A1000-memory.dmpFilesize
68KB
-
memory/2568-115-0x0000000000230000-0x0000000000256000-memory.dmpFilesize
152KB
-
memory/2568-119-0x0000000005920000-0x000000000596C000-memory.dmpFilesize
304KB
-
memory/2568-118-0x00000000058D0000-0x0000000005918000-memory.dmpFilesize
288KB
-
memory/2568-117-0x0000000004CB0000-0x0000000004D08000-memory.dmpFilesize
352KB
-
memory/2568-116-0x00000000057C0000-0x00000000057C1000-memory.dmpFilesize
4KB
-
memory/2892-124-0x0000000005430000-0x00000000055AD000-memory.dmpFilesize
1.5MB
-
memory/2892-129-0x0000000002E50000-0x0000000002F40000-memory.dmpFilesize
960KB